クラウドDLPで要求される発想の転換

　従来、集約型ストレージから分散型ストレージへの移行（例えば、メインフレームやミッドレンジシステムからクライアント／サーバモデルへの移行）の際には、セキュリティ管理機能も変更する必要があった。ワークステーションや個人用端末にあるデータのリスクをめぐる懸念は、携帯端末や分散システムを監視するDLP製品の普及を促した。セキュリティ管理者は、データがどこに保存されるかを確認するとともに、新しいデータ伝送経路を把握しなければならなかったのだ。

　物理サーバからVMへの移行に際しても、こうした発想の転換が要求される。仮想環境は、ハイパーバイザーの強力な機能とクラウド環境の自動化に関連した、数々の興味深い問題をもたらすからだ。センシティブなデータを効果的にコントロールするためには、リソースプールやクラスタ、VM、ハイパーバイザー、データセンターなど多数の概念を正しく認識し、理解しなければならない。

　ユーザー企業は、クラウドプロバイダーに対して、センシティブなデータを特定できるかどうか、もしできるのであれば、クライアントPCやサーバ、ストレージシステムの中身をのぞくことはできるかどうかを質問する必要がある。クラウドプロバイダーがVMの中身をのぞくことができ、センシティブなデータについて報告できる場合は、プライバシーのコントロール（暗号化など）を考慮する必要がある。

　クラウドプロバイダーに対してその次に質問すべきことは、ロールベースのアクセスとリポートの粒度である。つまり、特権あるいは高レベルのアクセスがプロバイダーに与えられるのかどうか、ワークロードにはそのオーナーだけがアクセスできるように設定できるのかどうか、といったことだ。クラウドは、ストレージやネットワーク、コンピューティングの各領域を共有するため、仮想環境内でデータを分離するために使用する論理コンテナ（リソースプール、クラスタ、VMなど）を考慮したリポートが提供される必要がある。そして、最後にプロバイダーに聞かなければならないのは、センシティブなデータを見つける際のパフォーマンスへの影響を容易に管理できるのかどうかだ。

クラウドDLPのアドバンテージ

　製品のコンセプト自体は、クラウドDLPも従来のDLPも変わらない。つまり、クラウドDLPは、センシティブなデータを発見するだけなく、データ損失の防止機能も提供する必要がある。

　クラウドDLPを使うと、VMをホストするハイパーバイザーの技術を利用することにより、あるクラウド環境における1台のVMでセキュリティエンジンを実行し、他のVMを管理するといったことが可能になる。VMには、DLPエンジンを搭載したクライアントソフトウェアを搭載する。このDLPエンジンは、センシティブなデータのスキャンや特定、送信遮断といった機能を持つ。

　DLPエンジンは、クライアントソフトウェアを実行する全てのVMを監視・管理するだけでなく、ハイパーバイザーの視点から保存されているデータを見ることもできる。また、物理サーバと違い、VMはスタンバイ状態や停止状態であっても、セキュリティ管理者から見えなくなることはない。

　クラウドDLPは、APIを使ったプログラムでコントロールを自動化できる。例えば、センシティブなデータが含まれるVMをファイアウォールの背後に移動したり、より詳細な検証が可能なアクセス禁止エリアに移動する作業を自動化することが可能だ。データの漏えいを防ぐために、クレジットカードのデータを含むVMのネットワークをアプリケーションレベルで隔離し（特定のプロトコルを制限するなど）、メールで管理者に通知するといったルールを作成することもできる。

　クラウドDLPのもう1つの応用例が、完全に仮想化されたデータセンターの診断だ。例えば、センシティブなデータを含むシステムをクラウドDLPが検出したら、そのシステムをセキュリティ対策が施されていないシステムのクラスタから、センシティブなデータを扱う基幹業務システムのクラスタへ移動する。